SQL注入：老办法依然最普遍
成都高新区一家做机械配件的公司，官网留言板没做过滤，被人用一条特殊语句把后台管理员密码读走了。我们接手时，对方已经登录后台挂了隐藏跳转到仿冒支付页。SQL注入的原理不复杂，就是在输入框里塞进数据库指令。防护也简单：所有用户输入都做转义，用预编译语句，别直接拼SQL。这套改动半天内能做完，成本不到800元。
钓鱼邮件和弱口令最防不胜防
说白了，技术防护再厚，员工点开带毒邮件就全白搭。去年双流区一家美容院，财务收到税务稽查邮件，填了后台账号，第二天官网被换成博彩内容。这类社工攻击占成都中小企业被黑案例的四成以上。解决办法不是装软件，是培训：别乱点陌生链接，后台密码别和微信一致，重要操作加二次验证。
恶意爬虫和CC攻击拖垮访问
踩过坑的人都知道，网站没被黑但就是打不开，多半是流量被刷爆。锦江区一家女装电商大促前，竞争对手用脚本每秒刷200次搜索接口，正常顾客全卡在加载页。我们在nginx层加了访问频率限制，单IP每分钟超60次就拦，又封了几十个数据中心IP段，半小时内恢复。这种攻击不破坏数据，但营业额照样掉。
文件上传漏洞常被忽略
很多成都老板喜欢在网站加在线报名、简历投递，允许传文件。问题就在这：如果不限制类型，黑客传个php就能远程控制服务器。温江区一家培训学校中招，传上去的脚本把首页换成了色情广告。正确做法是：只允许jpg和pdf，文件存到非执行目录，上传后改文件名。改完我们再没见过这类入侵。
怎么判断自己中招了
几个信号要敏感：百度搜索结果里网站描述变成乱码或赌博词；后台登录记录出现陌生城市IP；页面偶尔闪一下跳走。发现任意一个，立刻断网保留现场。我们给客户做的监控会每天比对首页哈希，变了就短信报警，平均比人工发现早53小时。早一步，少损失几千块。
勒索病毒专挑小公司
这两年成都冒出一类新麻烦：网站没被黑，但服务器中了勒索病毒，数据库被加密，弹窗要比特币。锦江区一家贸易公司中招，全部客户资料打不开，最后花9000元找人解密还不彻底。这类病毒多从弱口令和过期组件进来，和前面说的防护是一套组合拳，别拆开看。
别信免费秒修的幌子
老板群里常有人发广告，说被黑免费帮你修。说白了，真免费轮不到你。我们见过假帮忙的人，修完顺手留了自己的后门，隔阵子再敲一笔。成都一家培训机构就吃过这亏，前后被薅走两万多。找本地有实体、有合同、敢写售后条款的团队，贵一点但睡得着觉。